每天安全。。
Jul
24
和我熟悉的人都已经很清楚了，最近我身体很虚，好几个病加在一起了，大便出血＋肚子疼＋眼疼＋头疼＋全身无力,让我痛苦的度过了一周。
本来就一个眼疼，后来扩散到好多病。。去“同立德”医院挂了两天的点滴，效果不佳。。。今天早上起床，又大便出血，有些担心，然后下午和ben总一起去了浙二医院，拿了百十块的眼药。马上折道去浙一医院，看肠外科，被医生无耻的暴了我的小菊花，啊！！！！然后确诊为”肛裂“，给我开了几百块钱的药。。哎，大悲剧啊。。。回家一看药的使用方法，还有两个直接塞进行的，擦~ 想起来就难受啊。。。看了三次，花了 800 左右，真贵啊！
好了，文章的目的是为了希望自己和大家注意身体，我决定做以下调整：
1、朋友喝酒--->朋友喝茶
2、在家抽烟--->在家看书
3、其他无意义的事情--> 逛街爬山
4、多吃水果啊，多吃水果！
上上周公司还搞了一个宣传，有一句话叫：有时间看住院看病，却没时间锻炼身体！
祝福大家身体健康，革命本钱别丢了啊，不要学我！我错了，我改了~~~~~~~~~~~~~~~~
本来就一个眼疼，后来扩散到好多病。。去“同立德”医院挂了两天的点滴，效果不佳。。。今天早上起床，又大便出血，有些担心，然后下午和ben总一起去了浙二医院，拿了百十块的眼药。马上折道去浙一医院，看肠外科，被医生无耻的暴了我的小菊花，啊！！！！然后确诊为”肛裂“，给我开了几百块钱的药。。哎，大悲剧啊。。。回家一看药的使用方法，还有两个直接塞进行的，擦~ 想起来就难受啊。。。看了三次，花了 800 左右，真贵啊！
好了，文章的目的是为了希望自己和大家注意身体，我决定做以下调整：
1、朋友喝酒--->朋友喝茶
2、在家抽烟--->在家看书
3、其他无意义的事情--> 逛街爬山
4、多吃水果啊，多吃水果！
上上周公司还搞了一个宣传，有一句话叫：有时间看住院看病，却没时间锻炼身体！
祝福大家身体健康，革命本钱别丢了啊，不要学我！我错了，我改了~~~~~~~~~~~~~~~~
Jun
12
是的，从上次说到“决定潜水三个月以上”以后，三个月未发表任何技术文章，倒发了 4 个招聘信息（现在招安全的人不易啊），现在我游上来了，不再潜了，因为我深深的了解到潜水的坏处！简单的总结一下这三个月的事情吧：
1、工作
工作有了很大的调整，从中国北边跑到了南边，离家又远了好多，不过目前工作很好，深深体会到了一句话：快乐工作，认真生活。
2、爱情
这个很悲剧，经历了一个长达 1 个月的爱情，让我重重的受到了一次打击，现实哇现实，本地人一般都排斥外地的打工仔，这不可否认的，很心痛，这让我心理上成熟了很多。还是村姑好哇！说不定过几年经不过父母的催促回家娶村姑去了。。
3、生活
不知道是因为百X培训，还是长期爱情然后失恋，还是对生活的认识改变，认识我的人都说我变了，是的，我外表变的非常离谱，但是我的内心依然那么单纯，幼稚--------这个不是装B。
这三个月来，我自身的变化连我自己都不敢相信，我觉得我应该再调整一下，我觉得工作和爱情完全不能同在，有了爱情，工作就会不理想。如果单身的话，工作，技术就有很大提升！可能是我自己对于如何处理这方面问题有欠缺的地方吧，还是单身的好，很矛盾，又想找女友，哎！另外，从想法上还要更进一步的升华，对安全的宏观考虑还待提高。
本文关键句：
1、快乐工作，认真生活。
2、激情研究，提升想法。
3、强身健体，勤奋读书。
3、出来混的，要么混的牛B，要么回家种地！
1、工作
工作有了很大的调整，从中国北边跑到了南边，离家又远了好多，不过目前工作很好，深深体会到了一句话：快乐工作，认真生活。
2、爱情
这个很悲剧，经历了一个长达 1 个月的爱情，让我重重的受到了一次打击，现实哇现实，本地人一般都排斥外地的打工仔，这不可否认的，很心痛，这让我心理上成熟了很多。还是村姑好哇！说不定过几年经不过父母的催促回家娶村姑去了。。
3、生活
不知道是因为百X培训，还是长期爱情然后失恋，还是对生活的认识改变，认识我的人都说我变了，是的，我外表变的非常离谱，但是我的内心依然那么单纯，幼稚--------这个不是装B。
这三个月来，我自身的变化连我自己都不敢相信，我觉得我应该再调整一下，我觉得工作和爱情完全不能同在，有了爱情，工作就会不理想。如果单身的话，工作，技术就有很大提升！可能是我自己对于如何处理这方面问题有欠缺的地方吧，还是单身的好，很矛盾，又想找女友，哎！另外，从想法上还要更进一步的升华，对安全的宏观考虑还待提高。
本文关键句：
1、快乐工作，认真生活。
2、激情研究，提升想法。
3、强身健体，勤奋读书。
3、出来混的，要么混的牛B，要么回家种地！
Jun
11
工作地点：北京
招聘人数：1
联系邮箱：guizaicn@gmail.com
要求：熟悉钓鱼攻击和防范、XSS防护，熟悉常见的WEB漏洞，喜欢网络安全，最好有开发经验。
待遇面议
有兴趣的同学请联系。
招聘人数：1
联系邮箱：guizaicn@gmail.com
要求：熟悉钓鱼攻击和防范、XSS防护，熟悉常见的WEB漏洞，喜欢网络安全，最好有开发经验。
待遇面议
有兴趣的同学请联系。
May
11
360安全卫士公司招聘如下人员：
系统开发工程师(安全方向) 1 名：
职位要求:
1.良好的技术感觉,快速的学习能力;
2. 精通php/shell/perl/python/c等至少一种语言;
3.对linux/Unix环境下的开发有一定经验;
4.对网络协议有一定的了解;
5.轻松阅读英文技术文档;
6.认可公司文化,有高度的责任心和良好的团队协作意识;
7.不限工作经验和学历。
满足如下要求有加分:
1. 有网络渗透测试和防护经验;
2.有过open source项目的开发经历;
3.对网络安全有兴趣。
岗位描述:
1.公司内部网络安全防护和信息安全管理系统的开发;
2.参与安全事件的排查,跟踪与定位;
3.参与日常的信息安全管理工作。
工作地点：
北京
简历投递方式：
Email:showrun.lee#gmail.com
系统开发工程师(安全方向) 1 名：
职位要求:
1.良好的技术感觉,快速的学习能力;
2. 精通php/shell/perl/python/c等至少一种语言;
3.对linux/Unix环境下的开发有一定经验;
4.对网络协议有一定的了解;
5.轻松阅读英文技术文档;
6.认可公司文化,有高度的责任心和良好的团队协作意识;
7.不限工作经验和学历。
满足如下要求有加分:
1. 有网络渗透测试和防护经验;
2.有过open source项目的开发经历;
3.对网络安全有兴趣。
岗位描述:
1.公司内部网络安全防护和信息安全管理系统的开发;
2.参与安全事件的排查,跟踪与定位;
3.参与日常的信息安全管理工作。
工作地点：
北京
简历投递方式：
Email:showrun.lee#gmail.com
May
11
招聘如下人员：
安全测试工程师：3人
职位描述：
1. 负责项目日常发布前的安全测试；
2. 负责引导和辅助开发人员修复安全问题；
职位要求：
1. 熟悉常见的web漏洞类型和原理；
2. 有网站攻击或者防御经验者优先；
3. 较强的好奇心，学习能力强，责任心强，沟通能力好；
工作地点：
杭州
简历投递方式：
Email: woyigui#gmail.com
QQ:283088088
安全测试工程师：3人
职位描述：
1. 负责项目日常发布前的安全测试；
2. 负责引导和辅助开发人员修复安全问题；
职位要求：
1. 熟悉常见的web漏洞类型和原理；
2. 有网站攻击或者防御经验者优先；
3. 较强的好奇心，学习能力强，责任心强，沟通能力好；
工作地点：
杭州
简历投递方式：
Email: woyigui#gmail.com
QQ:283088088
Feb
25
只看图，等成功了再说话。
Link:
XSS, SQL Injection and Fuzzing Barcode Cheat Sheet
http://www.irongeek.com/xss-sql-injection-fuzzing-barcode-generator.php
Link:
XSS, SQL Injection and Fuzzing Barcode Cheat Sheet
http://www.irongeek.com/xss-sql-injection-fuzzing-barcode-generator.php
Jan
22
在javascript 事件中，当参数是经过编码的值，javascript 会将期解码进行执行，如下代码。
另外，由于 javascript 支持 函数参数可以是 函数特性，如下代码：
利用两种特性，就可以引发如下的安全问题：
当 javascript 代码经过编码带入页面，可以利用事件执行时解码的特性对单引号进行闭合，然后利用 函数参数 可以是 函数的特性进行代码。该方法不能直接用于 《script》内，比如如下代码是不能执行的：
由于如上问题，在特定应用环境中，处理与解决 DOM 型XSS 的时候，将更具有挑战。解决方法就是在解码后，再次使用 \ 符号对其处理，但是考虑到特殊应用可能有所影响。
<a href=# onmousemove="alert(/woyigui/)">xxx</a>
另外，由于 javascript 支持 函数参数可以是 函数特性，如下代码：
<script>x( alert(1) );</script>
利用两种特性，就可以引发如下的安全问题：
<a href="#" onmousemove="xxx(''+alert(1)+'',44);return false;">woyigui</a>
当 javascript 代码经过编码带入页面，可以利用事件执行时解码的特性对单引号进行闭合，然后利用 函数参数 可以是 函数的特性进行代码。该方法不能直接用于 《script》内，比如如下代码是不能执行的：
<script>
xxx(''+alert(1)+'');
</script>
xxx(''+alert(1)+'');
</script>
由于如上问题，在特定应用环境中，处理与解决 DOM 型XSS 的时候，将更具有挑战。解决方法就是在解码后，再次使用 \ 符号对其处理，但是考虑到特殊应用可能有所影响。
Jan
8
因这个 0day ，看了一下代码，发现 common.inc.php 文件中包含如下简单的防范代码：
用于防止XSS攻击，只支持反射型的,在某些环境下是可以绕过的。估计是N早加入了，估计是我out了。。
if($urlxssdefend && !empty($_SERVER['REQUEST_URI'])) {
$temp = urldecode($_SERVER['REQUEST_URI']);
if(strpos($temp, '<') !== false || strpos($temp, '"') !== false)
exit('Request Bad url');
}
$temp = urldecode($_SERVER['REQUEST_URI']);
if(strpos($temp, '<') !== false || strpos($temp, '"') !== false)
exit('Request Bad url');
}
用于防止XSS攻击，只支持反射型的,在某些环境下是可以绕过的。估计是N早加入了，估计是我out了。。
